Двухэтапная аутентификация во «ВКонтакте» и Gmail

Это ответ на статью Дениса Куликова о двухэтапной аутентификации.

Меня часто спрашивают, как защитить свой аккаунт «ВКонтакте» от угона, но при этом не понимают, что защита нужна не только для ВК, но и для почты тоже.

Рассмотрим ситуацию, когда вашими домашними страничками являются почта и страничка в соцсети. Это значит, что максимум информации о вас сосредоточено там. Фотографии, геолокация, личная переписка, ссылки, контакты, пароли от сайтов и резервные коды — всё сосредоточено здесь. На емейл и телефон мы регистрируем другие аккаунты, поэтому головная почта должна быть защищена максимально хорошо.Рассмотрим некоторые моменты.

1) Gmail — лучшая почта

Почему? Потому что она сильнее защищена, потому что она хранит ваши данные в зашифрованом виде, потому что она одна из первых внедрила технологию написания письма в одном окне браузера. Потому что Гугл — это огромная корпорация, с большим количеством профессионалов и хорошими руководителями, которые поддерживают здоровый климат в компании и заботятся о своих сервисах. И почта — один из важнейших. Есть неписаные истины, произросшие из небольших заметочек и кулуарных шуточек айтишников, которые потихоньку начинают осознавать как пользователи, так и российские компании.

Когда у вас в резюме указана почта mail.ru — это частично рисует ваш портрет. Это портрет далекого от интернет-мира человека, который довольствуется огромным количеством назойливой рекламы, плохой техподдержкой и безвкусной вёрсткой сайтов.

В моей основной гугл-почте настроен сбор писем с других почт (яндекс, мейл). Недавно мне начали приходить уведомления, что некий юзер зарегистрировался в твиттере, использовав в качестве логина мою почту. Что это значит? Аккаунт не используется 4 года и мейл.ру как бы "списывает" его, отправляет в архив покинутых. На вопросы, почему так начало происходить, никто из техподдержки мне не ответил. И это была не единичная ошибка конкретного лица, поскольку аналогичные письма приходили мне и с других почт, зарегистрированных на мейл.ру. В почте мейл. ру на данный момент нет аутентификации через мобильное приложение.

2) использование lastpass для паролей;

3) xmarks для заметок;

4)adblock против флеш- и баннерной рекламы.

Вконтакте и двухэтапная аутентификация

Как мы помним, сначала на вк можно было зарегистрироваться с помощью почты и пароля, затем для регистрации потребовался номер телефона.У моего друга недавно был случай увода аккаунта. К сожалению, к аккаунту оказался привязан действующий паблик, злоумышленник это увидел и начал требовать деньги за восстановление доступа. А чтобы показать серьезность своих угроз, удалил посты со стены за полгода.

Почему такая ситуация произошла? Тот аккаунт оказался зарегистрированным на старую почту, к которой получить доступ спустя много лет невозможно, а также он был привязан к недействующему номеру телефона. Ну и пароль там был уровня qwerty123. Аккаунт выкупили, история закончилась благоприятно, но заставила хозяина аккаунта задуматься: можно быть бесконечно крутым в одном деле, разбираться в сложнейших вещах, но за пару секунд потерять плод своих многолетних стараний. А все из-за полнейшей сетевой безграмотности.

Как защитить свой аккаунт вконтакте? На примере ошибок покажем, как делать не нужно. Придумайте пароль. Скорее всего, это будет что-то вроде kolbasa1488 или gal4onok1993. Привяжите действующий телефонный номер.

Думаете, все ок? Такой пароль можно подобрать с помощью программы меньше, чем за сутки. Никто не будет вникать в вашу психологию и допытываться фамилии вашей матушки, он просто запустит сервис и через несколько часов будет разглядывать ваши альбомы. Но вы скажете, что привязали номер. Да, но его можно изменить, пока вы не догадались, что произошло, и привязать новый. Если на вашем акке была сеть пабликов, можете начинать плакать.

Хорошо, скажете вы, давайте я придумаю нечитаемый длинный и незапоминаемый пароль. Подойдет? Да, такое сгодится, но если вы запишете его в блокнотик и зароете среди картинок, которые на все случаи жизни, однажды наступит момент, что вы сами не сможете попасть в свой аккаунт. Порча жесткого диска, потеря телефона или сим-карта, зарегистрированная не на вас, а также с истекшим сроком годности, стершиеся внезапно куки браузера — и у вас уже неприятности. Да и каждый раз вводить такой пароль — мало хорошего.

Для этого нам пригодится сервис lastpass. Начните им пользоваться. Он существует, понятное дело, и в виде сайта-хранилища (где ваши данные лежат в зашифрованном формате), а также в виде плагинов к множеству браузеров. Такой плагин поможет вам не вводить каждый раз пароль к сайту. В идеале, вы придете к тому, что будете помнить 1 единственный важный пароль ну и парочку других, которые легко будет подсмотреть в хранилище.

Для ваших закладочек под рецептики, магазины, блоги и порно удобно пользоваться сервисом xmarks. Он сохраняет не только ваши сайты, помеченные звездочкой, он запоминает состояние вашего браузера на конкретную дату. В итоге вы придете к тому, что ваши структурированные папки с закладками будут надежно сохранены и доступны с любого устройства, где есть интернет. При переезде на новый ноут или просто при переустановке операционной системы вам не придется делать блокнотик со ссылочками. Также xmarks сохраняет вид панели быстрого доступа.

Итак, как правильно жить в интернете?

Нужно иметь надежную почту, которая привязана к действующему номеру телефона и которая требует аутентификации через мобильное приложение. Нужно иметь аккаунт lastpass, чтобы не записывать безумное количество логинов и паролей в блокнотик с жесткого диска. Кстати, где вы храните данные платежных пластиковых карт? Тоже в блокнотике? Нужно подключать к мобильной аутентификации все значимые для вас сервисы.

Дополнительные советы: либо генерируйте пароли чтобы получалось jgsdkds8455dDE77,либо делайте к читаемым паролям маленькие приставочки, например, базовый пароль kukuEto7ya, тогда для вконтакте он будет vk_kukuEto7ya, для скайпа sk_kukuEto7ya, для твиттера tw_kukuEto7ya и так далее.

Допустим, вы установили на свой смартфон приложение google authenticator и подключили к нему свой аккаунт вконтакте. Как же вы окажетесь защищены? Смысл в том, что каждый раз, когда вы попытаетесь войти, вас будут спрашивать код из приложения, который действует 30 секунд. Никто не сможет войти на сайт, если у него нет вашего смартфона. Что делать, если смартфон утерян? Для этого, каждый сайт выдает резервные коды, с помощью которых можно было бы отвязать двухэтапную аутентификацию. Где их хранить? Советую оставить их в качестве черновика письма в почте, а также сохранить в виде защищенной заметки в сервисе lastpass.

И помните главное, если защитить только почту, или только вк, или только ластпасс — надежности не будет. Используйте комбо.

П.С. Чтобы не вводить мучительные коды каждый раз, поставьте галочку «доверять этому браузеру». Кстати, нечищенные куки можно украсть (вместе с паролями). Поэтому убедитесь, что ваш кэш чистится всякий раз, когда вы входите в систему (например, используйте программу ccleaner с автозапуском при входе в ОС).

П.П.С. Я понимаю, что статейка в духе опиума для никого, потому что чайникам будет настроить всё очень трудно, а айтишники посмеются на бытовушностью языка и невежеством в терминах. Но всё же надеюсь, что народ заинтересуется и самостоятельно изучит представленные сервисы. Если вы разбираетесь в шифровании данных и можете ответить на вопрос «Зачем использовать google authenticator, если аккаунт привязан к действующему номеру телефона?» содержательнее чем "ну так просто надежнее", пишите мне, подправим пост.